Loi 25 : les décisions automatisées
Depuis le 22 septembre 2023, l’article 12.1 de la Loi sur la protection des renseignements personnels dans le secteur privé encadre les décisions fondées exclusivement sur un traitement automatisé de renseignements personnels. L’article 65.2 de la Loi sur l’accès prévoit la même chose pour les organismes publics. L’organisation doit :
- informer la personne de l’utilisation d’un traitement automatisé, au plus tard au moment où elle l’informe de la décision ;
- sur demande, lui indiquer les renseignements personnels utilisés, ainsi que les raisons et les principaux facteurs et paramètres qui ont mené à la décision ;
- l’informer de son droit de faire rectifier ces renseignements ;
- lui donner l’occasion de présenter ses observations à un membre du personnel en mesure de réviser la décision.
Pour répondre à ces demandes, il faut d’abord savoir quelles décisions sont prises sans intervention humaine. L’ISO/IEC 42001 fait documenter précisément cela : l’usage prévu de chaque système d’IA et les mesures de supervision humaine.
Loi 25 : l’évaluation des facteurs relatifs à la vie privée
L’article 3.3 de la loi sur le secteur privé, et l’article 63.5 de la Loi sur l’accès pour les organismes publics, exigent une évaluation des facteurs relatifs à la vie privée (EFVP) pour tout projet d’acquisition, de développement ou de refonte d’un système d’information ou d’une prestation électronique de services qui implique des renseignements personnels. Un système d’IA alimenté par des données personnelles y est presque toujours assujetti.
L’évaluation d’impact de l’ISO/IEC 42001 (clauses 6.1.4 et 8.4, objectif A.5) va plus loin : elle couvre aussi les effets qui ne touchent pas la vie privée, comme l’accès à un service, la discrimination ou la sécurité physique. Menez les deux comme un seul exercice à deux volets, plutôt que deux documents qui se contredisent six mois plus tard.
Organismes publics : un encadrement déjà en vigueur
Le ministère de la Cybersécurité et du Numérique encadre l’usage de l’IA par les organismes publics en vertu de la Loi sur la gouvernance et la gestion des ressources informationnelles. Les instruments suivants s’appliquent déjà.
| Instrument | Date | Ce qu’il demande |
|---|---|---|
| Arrêté 2024-01 sur les exigences en matière de ressources informationnelles au regard de l’utilisation de l’IA | 28 février 2024 | Déclarer au dirigeant principal de l’information chaque actif, projet ou initiative d’IA, avec ses objectifs, ses données, ses coûts et ses bénéfices, au plus tard le 15 juin de chaque année. |
| Énoncé de principes pour une utilisation responsable de l’IA par les organismes publics (arrêté 2024-02, annexe remplacée par l’arrêté 2025-02) | 27 juin 2024, mis à jour le 3 décembre 2025 | Douze principes, dont la supervision humaine et la souveraineté numérique. |
| Indication d’application IA-RI-2025-003-OP, mesures applicables lors de l’utilisation de l’IA générative | En vigueur le 5 décembre 2025 | Structure de gouvernance, gestion des risques en six étapes, EFVP dès la conception, essais de fiabilité contre les hallucinations et les biais, formation du personnel avant le déploiement, lignes directrices internes sur les usages permis et interdits, supervision humaine. |
L’indication permet d’échelonner sa mise en œuvre sur six mois au plus, donc jusqu’au début de juin 2026. Un guide d’application a suivi en mars 2026.
Aucun de ces documents ne mentionne l’ISO/IEC 42001. Le guide d’application renvoie plutôt au cadre de gestion des risques du NIST pour les cas à haut risque. La norme garde un intérêt pratique : elle transforme une liste d’obligations en un système qu’on audite chaque année, avec des responsables nommés et des preuves datées.
Institutions financières : l’AMF et le BSIF au 1er mai 2027
La Ligne directrice sur l’utilisation de l’intelligence artificielle de l’Autorité des marchés financiers, publiée dans sa version définitive le 7 avril 2026, s’appliquera le 1er mai 2027 aux assureurs, aux coopératives de services financiers, aux sociétés de fiducie et aux institutions de dépôts autorisés. Ses principales attentes :
- un membre de la haute direction imputable pour l’ensemble des systèmes d’IA ;
- un répertoire centralisé des systèmes d’IA, avec une cote de risque pour chacun, révisée périodiquement ;
- un encadrement de tout le cycle de vie, du choix du système à sa surveillance en exploitation ;
- une compétence collective suffisante au conseil d’administration ;
- envers les clients : leur dire qu’ils interagissent avec un système d’IA, leur offrir l’accès à une aide humaine et expliquer les décisions.
Du côté fédéral, la ligne directrice E-23 du BSIF sur la gestion du risque de modèle, publiée le 11 septembre 2025, entre en vigueur le même jour, le 1er mai 2027. Sa définition de « modèle » inclut les méthodes d’IA et d’apprentissage automatique.
Au fédéral
La Directive sur la prise de décisions automatisée du Conseil du Trésor, modifiée le 24 juin 2025, vise les institutions fédérales. Le projet de loi C-27, qui contenait la Loi sur l’intelligence artificielle et les données, est mort au Feuilleton en janvier 2025. Le projet de loi C-36, déposé le 15 juin 2026, porte sur la protection de la vie privée et contient des dispositions sur les décisions automatisées ; il était à l’étape de la deuxième lecture en octobre 2026.
Où l’ISO/IEC 42001 vous aide
Le tableau relie chaque exigence québécoise à l’endroit où la norme l’organise. Il sert à répartir le travail : un seul système de management peut répondre à plusieurs exigences avec les mêmes preuves.
| Exigence | D’où elle vient | Où l’ISO/IEC 42001 l’organise |
|---|---|---|
| Inventaire des systèmes d’IA | Arrêté 2024-01 ; AMF (répertoire) | Périmètre (4.3), ressources et documentation des systèmes d’IA (A.4, A.6) |
| Personne imputable | AMF ; indication IA-RI-2025-003-OP (gouvernance) | Leadership, rôles et responsabilités (5.1, 5.3, A.3) |
| Cote de risque, gestion des risques | AMF ; indication (art. 4) | Appréciation et traitement des risques d’IA (6.1.2, 6.1.3, 8.2, 8.3) |
| Effets sur les personnes, EFVP | Loi 25 (art. 3.3 et 63.5) ; indication (art. 4) | Évaluation d’impact des systèmes d’IA (6.1.4, 8.4, A.5) |
| Révision par une personne, supervision humaine | Loi 25 (art. 12.1 et 65.2) ; Énoncé de principes ; indication (art. 17) | Usage prévu et utilisation des systèmes d’IA (A.9) |
| Information des personnes et des clients | Loi 25 (art. 12.1) ; AMF | Information des parties intéressées (A.8) |
| Essais de fiabilité | Indication (art. 6) | Vérification et validation (A.6.2.4) |
| Formation du personnel | Indication (art. 11) | Compétences et sensibilisation (7.2, 7.3) |
| Fournisseurs d’IA générative | Indication ; AMF | Relations avec les tiers et les clients (A.10) |
Par où commencer
Si votre organisation tient déjà un système ISO 9001 ou ISO/IEC 27001, une bonne partie du travail est faite. Le plus rentable est souvent de commencer par l’inventaire, puis par une évaluation d’impact sur le système le plus exposé. Le guide gratuit La passerelle propose un plan de 90 jours. TechVibes offre le diagnostic de préparation, l’audit interne et la formation, en français et en anglais.